Op de site van de AIVD valt over solliciteren bij deze dienst het volgende te lezen:
Omdat we bij de AIVD met geheime informatie en (menselijke) bronnen werken, is het voor de meeste functies wenselijk dat maar weinig mensen – buiten je collega’s natuurlijk – weten wat voor werk je doet.
Die terughoudendheid begint al tijdens je sollicitatie. Door met anderen te praten over je belangstelling om bij de AIVD te werken, zouden kwaadwillenden interesse kunnen krijgen in jou of mensen uit je omgeving.
Uitstekend advies, maar als individuele sollicitanten dit al ter harte namen dan zorgde AIVD alsnog dat sollicitatie-informatie (en meer) werd rondgeswaffeld. Follow the Money zegt hierover het volgende:
Net als alle andere banen bij de Rijksoverheid staan vacatures voor de [AIVD] op de website werkenvoornederland.
De site maakt gebruik van Google Analytics, een programma dat inzicht verschaft in hoe gebruikers zich gedragen op een website. Daarvoor zijn zogeheten trackers in de website gebouwd die de bewegingen van bezoekers over de site volgen. Vanaf het moment dat [kandidaat] op de site landt, gaat er bij iedere klik of scroll een signaal naar Google. Als zij bijvoorbeeld op de sollicitatieknop drukt of op een link klikt om te bellen voor meer informatie, zien we dat terug in het netwerkverkeer met Google.
De Google-server waarmee [kandidaat] op die momenten verbinding maakt, kan in ieder geval haar IP-adres zien. Ook ontvangt Google informatie over het besturingssysteem van haar computer of mobiel en welke browser ze gebruikt, en over zogeheten Client ID’s.
Maar er is meer:
De website is ondergebracht bij Bloomreach, een Amerikaans bedrijf dat gebruikmaakt van servers van Amazon. Beide bedrijven kunnen zien wie verbinding maakt.
Om cyberaanvallen tegen te gaan gebruikt werkenvoornederland diensten van het Amerikaanse bedrijf Cloudflare. Al het verkeer gaat via servers van het bedrijf, dat dus ook mee kan kijken.[MD: dankzij de recente problemen kent iedereen ondertussen de naam Cloudflare]
[Het sollicitatieformulier] staat op de website van het Houtense bedrijfje Tangram. Dat heeft toegang tot alle persoonlijke gegevens die [kandidaat] hier invult. […] Medewerkers van Tangram hebben zodoende toegang tot die gegevens. Voor cv-parsing werd (door Tangram) gebruik gemaakt van Textkernel:Textkernel zegt op zijn beurt gegevens te kunnen delen met Amazon en Google. De AIVD stopte naar aanleiding van vragen van FTM met die werkwijze.
Met de volgende consequentie:
Cristiana Santos is universitair docent recht en technologie aan de Universiteit Utrecht. Met een groep internationale onderzoekers onderzocht zij de werking van onder meer Google Analytics, en concludeerde dat de informatie die Google zo verzamelt, personen ‘identificeerbaar’ maakt. ‘Dat betekent dat zij indirect herleidbaar zijn tot een persoon.’
Met de volgende constatering:
De kans bestaat dat Google weet wie er de afgelopen veertien jaar bij de AIVD hebben gesolliciteerd
Gelukkig maar dat Google “do no evil”predikt. O, wacht…
En dan is er nog dit:
De AIVD adverteert ook op LinkedIn. De MIVD doet dat alleen voor stageplekken. Gebruikers van het platform kunnen daar klikken op een sollicitatieknop die naar werkenvoornederland leidt. De sollicitant kan zijn LinkedIn-profiel ook delen met de diensten.
Kennen we deze nog?: LinkedIn now owns you(r data)? En LinkedIn verzamelt sowieso een deel van de disposition data met haar sollicitatieknop, los van de datagrab die ze (zonder zichtbare actie tot op heden van de Autoriteit Persoonsgegevens (AP)) recent heeft gedaan…
Ondertussen is het gevaar geweken, bij werkenvoornederland althans:
Op de website Werken voor Nederland zette het ministerie van Binnenlandse Zaken en Koninkrijksrelaties recent de trackers uit waarmee Google Analytics informatie verzamelde over mensen met belangstelling voor een functie bij de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) of de militaire tegenhanger MIVD.
Is het de publicatie van FTM die daarvoor heeft gezorgd, of is het onderstaande prikkel:
Kamerlid Derk Boswijk (CDA) stelde begin dit jaar Kamervragen over de veiligheid van het sollicitatieproces. De verantwoordelijk minister van Binnenlandse Zaken, toen Judith Uitermark (NSC), antwoordde daarop dat de vacaturesite van de Rijksoverheid ‘geen gegevens over sollicitanten deelt met Google’.
Dat laatste was op basis van bovenstaande informatie dus een onjuist antwoord. Maar stel dat de vragen van Boswijk tot actie hebben geleid, dan heeft een simpele handeling als het uitzetten van Google analytics trackers een doorlooptijd van een jaar. Ik krijg zomaar sympathie voor de AP.
Overigens is goed lezen een kunst; FTM zegt (zie ook hierboven):
Op de website Werken voor Nederland zette het ministerie van Binnenlandse Zaken en Koninkrijksrelaties recent de trackers uit waarmee Google Analytics informatie verzamelde over mensen met belangstelling voor een functie bij de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) of de militaire tegenhanger MIVD.
Betekent het nou dat Google Analytics tracking alleen voor AIVD en MIVD vacatures is uitgezet? En dat voor alle andere overheidsdiensten dit nog vrolijk voortduurt. En dat terwijl rijksbrede privacy-richtlijnen het overheidsdiensten niet toestaat om Google Analytics tracking in te zetten? Volgens goed ingelichte bronnen negeren de werken-bij sites van Defensie en de Belastingdienst deze richtlijnen ook. Wat gezien de aard van de geadverteerde functies misschien ook een slecht idee is.
De overheid is een zeer grote werkgever, en daarmee is een praktijk als bovenstaande een zeer fors datalek van potentieel zeer gevoelige data. Dat is drie de kwalificatie “zeer” in één zin. Inderdaad een hinderlijke herhaling, maar voor een goed doel. Want deze praktijken moeten natuurlijk stoppen en daarvoor staat de overheid aan de lat. Enerzijds door het eigen huis op orde te hebben maar ook om wet- en regelgeving en handhaving te realiseren die ervoor zorgt dat privacy van sollicitanten gegarandeerd is. En dat betekent dat de overheid actie moet ondernemen om disposition data de aandacht te geven die het hard nodig heeft. Disposition data? Ja, disposition data: